Utilisateurs invités de Microsoft 365 et accès externe : Le guide complet

Avec sa suite de productivité phare Microsoft 365 (anciennement connue sous le nom de Office 365), Microsoft vise à briser les silos d'entreprise traditionnels qui entravent le partage de contenu et la collaboration. Les capacités entrelacées de SharePoint Online et OneDrive for Business permettent aux utilisateurs de collaborer avec un large éventail de collègues, tant à l'intérieur qu'à l'extérieur de leur organisation.

Malgré ses avantages, le partage de fichiers présente plusieurs risques. Que se passe-t-il si vos fichiers sont partagés par inadvertance ou délibérément avec les mauvais utilisateurs ? Que se passe-t-il si les utilisateurs gèrent mal les informations sensibles ? Comment pouvez-vous rester en contrôle de vos utilisateurs invités ?

Pour atténuer les préoccupations de sécurité liées au partage, il est important de comprendre comment configurer les deux mécanismes de partage dans Microsoft 365 :

• Accès invité: Partage de contenu avec des membres invités dans les groupes Microsoft 365 ou Microsoft Teams
• Partage externe: Liens de partage vers des ressources spécifiques SharePoint et OneDrive avec des tiers externes

Cet article explique comment gérer les utilisateurs invités et l'accès externe dans Microsoft 365 pour assurer la continuité des affaires sans compromettre la sécurité de vos données critiques :

• Accès invité dans Microsoft 365
  • Comment activer ou restreindre la fonctionnalité d'accès invité
  • Comment ajouter un utilisateur invité à un groupe
  • Quel niveau d'accès un utilisateur invité possède-t-il ?
• Partage externe dans Microsoft 365 : SharePoint Online
  • Comment gérer le partage à l'échelle du locataire
    • Utilisation du SharePoint Admin Center
    • Utilisation du Microsoft 365 Admin Center
    • Utilisation d'Azure AD
  • Comment gérer l'accès au niveau du site dans SharePoint Online par les utilisateurs externes
    • Comment modifier le paramètre de partage externe pour un site
    • Comment restreindre l'accès à un site en fonction du domaine de l'utilisateur
• Partage externe dans OneDrive for Business
  • Comment gérer le partage à l'échelle du locataire pour OneDrive
    • Comment configurer le partage OneDrive via le SharePoint Admin Center
    • Comment configurer le partage OneDrive via le Centre d'administration OneDrive
  • Comment gérer le partage externe pour un OneDrive individuel
• Comment atténuer le risque de partage externe non autorisé de données critiques
• FAQ

Accès invité dans Microsoft 365

À l'arrière-plan, les groupes Microsoft 365 sont des objets dans Azure Active Directory (Azure AD). Chaque objet de groupe dans Azure AD contient des informations d'identification uniques telles que :

• Informations sur le propriétaire du groupe
• URL pour les ressources associées
• Liste des membres du groupe, y compris tout compte invité

Comment activer ou restreindre la fonctionnalité d'accès invité

Par défaut, la fonctionnalité d'accès invité est activée pour un locataire Microsoft 365, ce qui signifie qu'un propriétaire de groupe Microsoft 365 peut inviter toute personne possédant un compte de messagerie professionnel ou personnel à devenir membre invité du groupe.

En tant qu'administrateur Microsoft 365, vous pouvez définir le niveau d'accès externe pour le locataire en vous rendant sur la page Microsoft 365 Groups dans le centre d'administration Microsoft 365. Sous Services and Add-ins, vous pouvez contrôler si vous souhaitez désactiver entièrement l'accès invité et si les propriétaires de groupe sont autorisés à inviter des utilisateurs invités.

Vous pouvez également utiliser PowerShell pour limiter la politique d'accès des invités. Par exemple, vous pouvez :

• Empêchez les utilisateurs invités d'accéder à un groupe spécifique.
• Bloquez les invités externes d'un domaine spécifique.

Comment ajouter un utilisateur invité à un groupe

Tout membre du groupe peut nommer un utilisateur externe pour un groupe Office 365 en tant qu'invité, mais seul le propriétaire du groupe peut accorder l'accès invité. Le processus d'ajout d'un utilisateur invité à un groupe se déroule comme suit :

1. Le propriétaire du groupe ou un membre du groupe utilise la commande Groups > Add Members pour nommer l'utilisateur externe comme membre en saisissant l'adresse e-mail de l'utilisateur.
2. Le propriétaire du groupe examine les autorisations d'accès que l'invité recevrait en rejoignant et approuve la nomination.
3. Le visiteur reçoit un e-mail de bienvenue et peut commencer à participer aux activités de groupe.

Quel niveau d'accès un utilisateur invité possède-t-il ?

Membres invités d'un groupe Microsoft 365 :

• N’ayez pas d’accès direct à aucun des sites du groupe, comme un site d’équipe dans SharePoint
• Peuvent participer à des activités de groupe grâce à des conversations et des invitations de calendrier de groupe envoyées à leur boîte de réception
• Peut accéder aux fichiers partagés inclus dans les messages électroniques, tels que les pièces jointes ou les liens, à condition que l'administrateur ait activé les autorisations de partage de fichiers nécessaires

Partage externe dans Microsoft 365 : SharePoint Online

Les capacités de partage externe de SharePoint Online peuvent être gérées à deux niveaux :

• Dans l'ensemble du locataire Microsoft 365, que ce soit via le SharePoint Admin Center, le centre d'administration Microsoft 365 ou Azure AD
• Au niveau du site

Comment gérer le partage à l'échelle du locataire

Utilisation du SharePoint Admin Center

Pour configurer les paramètres de partage externe pour l'ensemble du locataire, accédez à la page Sharing du centre d'administration SharePoint. La section External sharing de cette page contient des options qui vous permettent de contrôler le niveau de partage à l'échelle du locataire dans SharePoint :

• Seules les personnes de votre organisation: Désactivez le partage externe et limitez le partage aux utilisateurs internes uniquement. Il s'agit du paramètre par défaut pour les sites de communication et les sites classiques dans SharePoint. En tant que meilleure pratique de sécurité, il est recommandé de désactiver le partage externe à l'échelle du locataire en sélectionnant cette option.
• Utilisateurs invités existants: Autorisez le partage avec des utilisateurs externes qui ont déjà été ajoutés à votre Azure AD. Les utilisateurs invités existants peuvent avoir rejoint votre Azure AD en acceptant une invitation de partage dans le passé ou en étant ajoutés comme utilisateurs invités par un administrateur dans le portail Azure. Cette option exige que les invités s'authentifient dans Microsoft 365 avec des identifiants valides avant qu'ils puissent accéder aux ressources partagées.
• Nouveaux et anciens invités: Accordez aux propriétaires de sites et aux utilisateurs la permission de contrôle total pour partager des sites avec des utilisateurs externes. Les utilisateurs de site peuvent également partager des fichiers et des dossiers pour collaborer avec des utilisateurs externes.
• Tout le monde: Permettre à quiconque possédant le lien de la ressource d'y accéder et de transférer le lien à d'autres. Cette option est sélectionnée par défaut, mais il est recommandé de modifier le paramètre de partage externe pour Uniquement les personnes de votre organisation. Attention à ne pas laisser l'option Tout le monde sélectionnée, car elle ouvre la porte à un partage non contrôlé avec des utilisateurs anonymes et non authentifiés et peut mettre des données sensibles en danger.

Si vous choisissez d'autoriser le partage avec Anyone, vous pouvez améliorer la gestion des documents et la sécurité en configurant ces paramètres avancés recommandés :

• Configurez les liens Anyone pour expirer après une certaine période de temps.
• Restreindre les liens invités pour permettre uniquement l'accès en lecture aux fichiers et dossiers.
• Restreindre les liens par défaut pour qu'ils soient accessibles uniquement aux personnes de votre organisation.
• Activez la fonctionnalité ATP safe attachments.
• Restreindre le partage externe avec des utilisateurs provenant de blocked domains.

En utilisant le Microsoft 365 Admin Center

Vous pouvez également configurer le partage au niveau du locataire pour SharePoint en vous rendant dans le centre d'administration Microsoft 365 et en sélectionnant Settings > Services & add-ins > Sites. Cette page vous permet de configurer les mêmes options de partage externe que le centre d'administration SharePoint.

Utilisation d'Azure AD

Pour le plus haut niveau de contrôle sur l'accès externe à SharePoint, configurez les paramètres de partage dans Azure AD. Vous pouvez aborder la configuration de partage Azure AD de deux manières :

• Faites en sorte que SharePoint utilise sa propre liste de partage externe, indépendante d'Azure B2B, et configurez les paramètres de relations organisationnelles dans Azure AD. Connectez-vous au portail Azure et sélectionnez Azure Active Directory > Overview > Organizational relationships. Rendez-vous sur la page Settings et définissez les paramètres de partage externe SharePoint en ligne que vous souhaitez utiliser pour votre organisation.
• Faites en sorte que SharePoint utilise les paramètres de partage externe définis dans Azure B2B et configurez la collaboration B2B dans Azure AD.

Conseil : Les paramètres de partage configurés dans Azure AD remplacent les paramètres de partage configurés dans le centre d'administration Microsoft 365 ou le centre d'administration SharePoint. Par exemple, si vous autorisez le partage externe via le centre d'administration Microsoft 365 mais désactivez le partage externe via Azure AD, le paramètre Azure AD prévaut et le partage externe sera désactivé pour votre organisation.

Comment gérer l'accès au niveau du site dans SharePoint Online par les utilisateurs externes

En plus de configurer les politiques de partage pour l'ensemble des locataires, vous pouvez restreindre davantage le partage externe pour un site SharePoint spécifique. Pour cela, vous devez disposer des privilèges d'administrateur global ou d'administrateur SharePoint. Les propriétaires de site ne peuvent pas modifier le paramètre de partage externe pour les sites.

Comment modifier le paramètre de partage externe pour un site

1. Dans le centre d'administration SharePoint, allez à Sites > Active Sites.
2. Cochez la case à côté du nom du site.
3. Cliquez sur l'icône « i » en haut à droite de la page.
4. Sélectionnez le niveau de partage souhaité dans la liste des options de partage. Ce sont les quatre mêmes options de partage qui sont disponibles pour la configuration à l'échelle du locataire.

Conseil : Le paramètre de partage externe pour un site spécifique doit être identique ou plus restrictif que le paramètre au niveau du locataire. Par exemple, si le partage à l'échelle du locataire est limité aux Existing guests, le paramètre de partage pour un site spécifique peut être modifié en Uniquement les personnes de votre organisation, mais il ne peut pas être changé pour une option plus permissive telle que Tout le monde.

Dans un autre cas d'utilisation typique, un administrateur global ou SharePoint doit restreindre l'accès à un site spécifique aux utilisateurs externes d'un certain domaine réseau. Par exemple, les utilisateurs du domaine Client A ne devraient pas pouvoir accéder à un site spécialement conçu pour le partage collaboratif avec le Client B.

Comment restreindre l'accès à un site en fonction du domaine de l'utilisateur

1. Dans le centre d'administration SharePoint, allez à Sites > Active Sites.
2. Cochez la case à côté du nom du site.
3. Allez à l'onglet Policies.
4. Sous External sharing, cliquez sur Modifier.
5. Sous Advanced settings for external sharing, cochez la case à côté de Limit external sharing by domain.
6. Cliquez Add domains.
7. Sélectionnez Autorisez uniquement des domaines spécifiques.
8. Saisissez le nom de domaine pleinement qualifié (FQDN) de chaque domaine que vous souhaitez ajouter à la liste blanche. Seuls les utilisateurs des domaines listés seront éligibles pour être invités sur le site.

Partage externe dans OneDrive for Business

OneDrive for Business est un espace de stockage personnel que les gens peuvent utiliser pour stocker et synchroniser des fichiers sur plusieurs appareils. Dans ce sens, OneDrive fonctionne comme un répertoire personnel ou un lecteur mappé personnel qui permet aux utilisateurs de sauvegarder des fichiers dans le stockage cloud et de les récupérer depuis n'importe quel appareil.

De nombreux clients utilisent également OneDrive pour partager des éléments avec d'autres utilisateurs, bien que OneDrive n'ait pas réellement été conçu à cet effet. En tant qu'administrateur, vous pouvez décider du niveau d'accès que les utilisateurs externes ont aux fichiers OneDrive dans votre organisation.

Comment gérer le partage à l'échelle du locataire pour OneDrive

Les paramètres de partage à l'échelle du locataire s'appliquent à toutes les instances OneDrive pour les utilisateurs de votre compte Microsoft 365. Il existe deux portails à travers lesquels vous pouvez configurer ces paramètres de partage pour OneDrive :

• La page Sharing dans le centre d'administration SharePoint (Microsoft recommande d'utiliser cette page pour configurer vos paramètres de partage OneDrive)
• La page de Sharing dans le centre d'administration de OneDrive

Comment configurer le partage OneDrive via le SharePoint Admin Center

Suivez les instructions et les directives décrites précédemment dans « Comment gérer le partage à l'échelle du locataire via SharePoint Admin Center. » OneDrive offre les mêmes quatre options de partage que SharePoint.

Conseil : Le niveau de partage pour OneDrive doit être identique ou plus restrictif que le niveau de partage pour SharePoint. Par exemple, si le partage à l'échelle du locataire dans SharePoint est défini sur Existing guests, vous ne pouvez configurer OneDrive que pour utiliser le même paramètre ou le paramètre plus restrictif Only people in your organization.

Comment configurer le partage OneDrive via le Centre d'administration OneDrive

1. Connectez-vous au centre d'administration de OneDrive.
2. Naviguez vers le Sharing

Ici, vous pouvez définir le niveau de partage externe pour OneDrive et configurer des contrôles de partage plus détaillés tels que :

• Le type de lien généré par défaut lorsqu'un utilisateur partage un fichier
• La période d'expiration pour les liens
• Faut-il autoriser les privilèges de modification et de téléversement pour les liens qui partagent des fichiers ou dossiers OneDrive de manière externe
• Domaines spécifiques à autoriser ou à bloquer pour la réception d'invitations de partage
• Que les utilisateurs externes doivent utiliser le même compte pour recevoir et accepter les invitations de partage
• Si les utilisateurs externes peuvent partager du contenu qu'ils ne possèdent pas
• Que les propriétaires de contenu puissent auditer la liste des utilisateurs ayant consulté leur contenu

Comment gérer le partage externe pour un OneDrive individuel

Pour personnaliser le niveau de partage pour le OneDrive d'un utilisateur spécifique, utilisez le centre d'administration Microsoft 365 :

1. Connectez-vous au centre d'administration de Microsoft 365 avec des privilèges d'administrateur global ou d'administrateur SharePoint.
2. Allez à Utilisateurs > Utilisateurs actifs.
3. Sélectionnez l'utilisateur OneDrive pour lequel vous souhaitez modifier le niveau de partage.
4. Allez à l'onglet OneDrive.
5. Sélectionnez Manage sharing sous la section Sharing.
6. Configurez le niveau de partage externe et enregistrez vos modifications.

Conseil : Le niveau de partage externe pour un OneDrive individuel doit être identique ou plus restrictif que le niveau de partage configuré pour OneDrive sur l'ensemble du domaine.

Comment atténuer le risque de partage externe non autorisé de données critiques

Classer vos données vous aidera à comprendre où résident vos données critiques, y compris si un site SharePoint Online particulier ou une collection de sites ou un dossier OneDrive for Business partagé avec des utilisateurs externes contient des données sensibles. Cette compréhension vous permettra de configurer le partage externe en fonction de la sensibilité et de la valeur des données stockées.

Pour garantir une découverte et une classification des données complètes et précises, optez pour une solution avancée comme Netwrix Data Classification. Son étiquetage automatique et très précis des données vous permet de choisir les paramètres de partage appropriés et permet également aux utilisateurs de trouver facilement les données dont ils ont besoin. L'étiquetage améliorera également l'efficacité de la prévention des pertes de données (DLP), de la gestion des droits numériques, de la gestion des archives et d'autres solutions de gouvernance des données que votre organisation utilise déjà ou prévoit de mettre en œuvre. Vous pouvez également configurer des flux de travail qui déplaceront automatiquement les données trop exposées des dépôts SharePoint Online et OneDrive for Business vers une zone de quarantaine désignée.

FAQ

Qui sont les utilisateurs invités dans Microsoft 365 ?

Un invité est tout utilisateur externe qui a reçu l'autorisation du propriétaire d'un groupe Microsoft 365 de participer aux conversations de groupe, aux invitations de calendrier, au partage de fichiers et aux activités de bloc-notes. Les utilisateurs invités de Microsoft 365 sont identiques aux utilisateurs invités d'Office 365.

Qu'est-ce que le partage externe dans Microsoft 365 ?

Le partage externe fait référence à la capacité des utilisateurs de SharePoint Online et OneDrive de partager des liens d'accès à des fichiers et des dossiers avec des utilisateurs externes. Les propriétaires de sites SharePoint peuvent également partager l'accès au site avec des utilisateurs externes.

Comment obtenir une liste des utilisateurs invités dans mon locataire Microsoft 365 ?

Vous pouvez soit :

• Visitez la page Guests dans le centre d'administration de Microsoft 365.
• Utilisez PowerShell pour Azure AD et exécutez un script qui utilise systématiquement la cmdlet Get-AzureADuser et sort la liste des utilisateurs invités dans un fichier CSV.

Comment puis-je savoir quels utilisateurs externes ont accès à SharePoint Online ?

Téléchargez le SharePoint Search Query Tool et suivez le processus décrit dans cet article de support Microsoft pour obtenir une liste de toutes les ressources auxquelles les utilisateurs externes ont accès.

Puis-je limiter le partage externe de fichiers dans Microsoft 365 ?

Oui, vous pouvez désactiver complètement le partage externe pour votre organisation. Il existe également des moyens de limiter le partage externe. Par exemple, vous pouvez :

• Partagez uniquement avec les invités Azure AD qui fournissent des informations d'authentification valides
• Configurez des liens de partage de fichiers avec des permissions en lecture seule
• Bloquez les utilisateurs dans des domaines réseau spécifiques pour qu'ils ne reçoivent pas d'invitations de partage

Comment gérer le partage externe dans Microsoft 365 ?

En tant qu'administrateur global ou administrateur SharePoint, vous pouvez gérer le partage externe en utilisant PowerShell ou l'un des portails suivants :

• Centre d'administration SharePoint
• Centre d'administration Microsoft 365
• Centre d'administration OneDrive
• Portail Azure